Frameworki ryzyka: NIST CSF i ISO 27001

Zespoły bezpieczeństwa mają do czynienia z nieskończoną liczbą potencjalnych kontroli i ograniczonymi zasobami. Ramy zarządzania ryzykiem zapewniają uporządkowane słownictwo, katalogi kontroli i metody oceny, które pomagają organizacjom ustalać priorytety inwestycji w bezpieczeństwo, komunikować ryzyko kadrze kierowniczej oraz wykazywać zgodność z wymaganiami.

NIST CSF (wersja 2.0) organizuje działania związane z cyberbezpieczeństwem w sześciu funkcjach: Govern, Identify, Protect, Detect, Respond i Recover. Każda funkcja obejmuje kategorie i podkategorie przypisane do konkretnych rezultatów w zakresie bezpieczeństwa. Framework jest szeroko stosowany w amerykańskiej infrastrukturze krytycznej i poza nią.

Funkcja Identify obejmuje zarządzanie zasobami, ocenę ryzyka, strategię zarządzania ryzykiem oraz zarządzanie ryzykiem w łańcuchu dostaw. Nie można chronić zasobów, o których istnieniu się nie wie. Kompletne rejestry zasobów i oceny ryzyka stanowią podstawę wszystkich kolejnych kontroli bezpieczeństwa.

Funkcja Protect obejmuje kontrolę dostępu, szkolenia, bezpieczeństwo danych, utwardzanie procesów i utrzymanie. Funkcja Detect obejmuje anomalie, zdarzenia związane z bezpieczeństwem oraz ciągłe monitorowanie. Dojrzała funkcja Detect zapobiega długiemu pozostawaniu atakujących w środowisku, szybko wykrywając włamania.

Funkcja Respond obejmuje planowanie reagowania na incydenty, komunikację, analizę, ograniczanie skutków i usprawnienia. Funkcja Recover obejmuje planowanie odtwarzania, usprawnienia i komunikację. Testowanie planów IR i procedur odtwarzania pozwala upewnić się, że zadziałają, gdy będą potrzebne.

ISO 27001 to międzynarodowa norma dotycząca Systemów Zarządzania Bezpieczeństwem Informacji (ISMS). Określa wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia ISMS. Certyfikat ISO 27001 potwierdza klientom i organom regulacyjnym bezpieczeństwo zweryfikowane przez niezależną stronę.

ISO 27001:2022 Annex A zawiera 93 kontrole zorganizowane w czterech obszarach: Organizational (37 kontroli), People (8), Physical (14) i Technological (34). Annex A to zestaw dostępnych opcji — należy wybrać kontrole odpowiednie do profilu ryzyka, korzystając z Deklaracji stosowania (SoA).

Proces postępowania z ryzykiem w ISMS obejmuje: identyfikację zasobów, identyfikację zagrożeń i podatności, ocenę prawdopodobieństwa i wpływu, wybór sposobu postępowania (akceptacja, unikanie, przeniesienie lub ograniczenie ryzyka), wybór kontroli z Annex A oraz udokumentowanie decyzji w SoA. Coroczne przeglądy oceny ryzyka pozwalają zachować aktualność ISMS.

NIST CSF to framework służący do organizowania i doskonalenia praktyk cyberbezpieczeństwa, a nie norma certyfikacyjna. ISO 27001 to norma podlegająca certyfikacji, obejmująca zakres ISMS i audyt niezależnej strony. Wiele organizacji korzysta z obu rozwiązań: NIST CSF zapewnia wskazówki operacyjne, a ISO 27001 — certyfikację i zaufanie klientów.

NIST CSF definiuje cztery poziomy dojrzałości (Partial → Risk-Informed → Repeatable → Adaptive). Poziomy dojrzałości bezpieczeństwa CMMI są podobnie zdefiniowane. Oceny dojrzałości pomagają identyfikować luki i tworzyć plany doskonalenia z mierzalnym, etapowym postępem prowadzącym do wyższej dojrzałości bezpieczeństwa.

NIST CSF i ISO 27001 można mapować na najważniejsze regulacje i standardy: PCI-DSS, HIPAA, GDPR, SOC 2 oraz NIST 800-53. Korzystanie z frameworka upraszcza zgodność z wieloma regulacjami: wykazanie wdrożenia kontroli Protect według NIST CSF zwykle spełnia podobne wymagania jednocześnie w wielu ramach regulacyjnych.

Jaki jest cel Deklaracji stosowania (SoA) w ISO 27001?

NIST CSF i ISO 27001 zapewniają uzupełniające się podejścia do zarządzania bezpieczeństwem. NIST CSF organizuje działania związane z bezpieczeństwem w ramach funkcji Govern/Identify/Protect/Detect/Respond/Recover, zapewniając wskazówki operacyjne, natomiast ISO 27001 dostarcza podlegające certyfikacji ramy ISMS z formalnym procesem postępowania z ryzykiem i katalogiem kontroli Annex A.